基于COSO框架下中小企业内部控制的研究

2020-11-12汪均香

市场周刊·市场版 2020年7期

摘要：目前，内部控制已成为当代企业经营管理的一个关键组成部分。在西方，强化企业的内部控制早已成为发达国家治理公司的重要手段。而在国内，内部控制也是大势所趋，不过尽管各类大企业虽然也早已进入内部控制时代，但是相当一部分中小企业这方面的经验还是相对比较欠缺，还存在很大的空间需要来完善。鉴于此，文章通过COSO内部控制框架对中小企业内部控制进行研究。

关键词：COSO框架;中小企业;内部控制

一、中小企业的划分标准及其特点

（一）中小企业的划分标准

中小企业是相对于大型企业定义的，然而企业的大小分类在不同的时代，不同的国家以及不同的行业都有所不同，在我国，中小企业划分为中型、小型、微型三种类型，具体标准根据企业从业人员、营业收入、资产总额等指标进行划分。

（二）中小企业的特点

中小型企业近年来发展速度过快，但同时也给市场经济发展造成很多困扰。中小型企业管理层要丰富管理经验，还要借鉴国外管理经验为我国中小型企业提供保障，同时还要重视中小型企业的可持续发展。中小型发展问题主要有以下几个方面。

第一，中小型企业员工素质低下。要为员工提供思想道德培训，提升中小型企业员工思想道德素质，能够提升企业整体性发展。企业会计人员不了解企业会计政策，会计制度不完整，会计人员职责不明确，主要原因在于中小型企业还没有建立完整的会计人员管理制度，因而导致中小型企业会计人员工作性质混乱，增加了企业经营成本，也不利于中小型企业发展。

第二，中小型企业员工管理制度不完善。中小型企业发展规模较小，资金有限，企业管理制度不健全，员工职责不明确，一人身兼多职现象普遍，从而导致员工难以承受工作负荷，流动性大，也是中小型企业面临的巨大挑战。中小型企业由于自身资金不足，且企业生存周期较短，难以解决中小型企业面临的挑战，对于中小型企业发展而言，难以扩大企业发展规模，与国外中小型企业发展状况相比，我国中小型企业还存在很多不足。

第三，中小型企业员工职责不明确。由于我国中小型企业没有建立完整的企业制度，甚至有些企业独揽经营大权，不懂企业操作，中小型企业没有进行准确定位，也没有丰富的管理经验，员工专业能力不足，技术落后，中小型企业要提升技术能力，为中小型企业提供技术支持。

第四，中小型企业技术落后。由于中小型企业文化素质偏低，且企业难以为员工提供相关培训，对于员工文化要求较低，从而导致中小型企业知识结构难以调整。中小型企业不重视员工学历要求，员工专业技能不足，导致中小型企业发展速度缓慢。

二、内部控制理论基础

（一）内部控制的含义

对企业而言，内部控制即是通过一系列方法和活动规范企业的经营管理活动，以实现保护资产的安全完整、保证财务信息的真实可靠、确保经营方针的全面贯彻实施、保障经营活动的经济和高效、促进企业经营目标的实现、提高企业效益为目的。

（二）内部控制的基本原则

1. 全面性原则

全面性原则包括全过程控制和全员控制。全过程控制要求企业将建立和实施内部控制渗透到各种业务中的各个管理环节上，及时识别风险，最大限度地规避风险，实现企业平稳发展。全员控制要求企业所有层面的员工都应该根据具体实际的工作情况参与到企业内部控制的建立与实施中，保证内部控制没有空白点。

2. 重要性原则

当前社会的变化速度已经超出了我们的想象，尤其是当前的“大数据”和“信息化”，一个企业成就在一瞬间，毁灭也在一瞬间，所以，企业内部控制不应该只关注经营管理状况，还应该特意关注企业某些重要业务事项和一些高风险、高概率事件。也就是说，企业要根据自身业务实际情况，重点防范最有可能造成风险和损失的业务环节，帮助企业平稳流畅运营。

3. 制衡性原则

主要体现在设置不相容机构、岗位或人员，如果一个企业做不到不相容岗位的制约和分离，那么就将极有可能造成职权滥用、营私舞弊等不良事件的发生，给企业发展带来不可估量的损失，就像“巴林银行倒闭案”一样。

4. 适应性原则

就是说企业的内部控制不要墨守成规，一成不变，而是要随着经营规模、业务范围、经营状况、和同行业竞争水平等方面的变化而变化，但这并不意味着企业要多变内部控制活动，而是要在保持相对稳定的基础上不断加以优化和改进，这样才能帮助企业应对复杂多变的市场环境，真正做到“因地制宜”“因企制宜”。

5. 成本效益原则

要求实施内部控制必须权衡成本与效益，做到费用与收益相平衡，换句话说就是花最少的钱得到最好的收益，毕竟一个企业建立与实施内部控制会产生相关费用和成本，直接或间接的给企业带来一些负担。但从长远来看，企業没有一套科学高效的内部控制体系是不会真正在竞争中脱颖而出，立于不败之地的。

（三）内部控制整体构架

根据《内部控制整体框架》和我国《企业内部控制基本规范》，内部控制主要包括五方面的内容，这五方面相互联系、相互促进。

1. 控制环境

控制环境是最基础的要素，决定了企业是否有可能贯彻执行内部控制，会对企业经营目标和战略目标的实现产生影响。控制环境主要包括诚信和道德观、员工胜任能力、董事会或审计委员会、组织结构、权力和职责分配等几个层面。

（1）诚信和道德观：这是控制环境的关键因素，而诚信是企业道德行为的先决条件，因此良好的道德氛围，特别是诚信的氛围对公司的控制的有效执行至关重要。

（2）员工胜任能力：管理层在制订岗位时，应当确定特定工作岗位所需的知识和技能，以保证工作的质量和效率。

（3）董事会或审计委员会：董事会或审计委员会成员的经验和地位、相对于管理层的独立性、涉及活动的广度和深度、与内外部审计师的合作，都是影响控制环境的重要因素。

（4）组织结构：是企业运转、设置部门、规划职能的基本框架，企业为了实现目标而在这个框架中规划、执行、控制和监督。企业应当根据自身规模和经营活动的性质选择适当的组织结构。

（5）权力和职责分配：这要求企业建立报告和授权机制，适当地将权力下放能够提高企业的效率。在企业的实际经营中应当重点关注不相容职位分离的情况。

2. 风险评估

风险评估就是对某个事件带来的影响或损失的可能程度进行量化的评估，并采取必要的应对策略。风险评估的步骤包括识别影响企业目标的风险，分析风险，应对风险。无论企业是何种规模和结构，也无论企业处于什么行业，都必须接受一个现实——面临风险。风险会对企业的生存能力造成影响，也关乎企业是否能够保持财务实力和公众形象、在行业内是否能够成功竞争、能否保持人员、产品和服务的总体质量。

3. 控制活动

控制活动的表现形式是企业内部控制的政策和程序，是内部控制中最具体的方面。人们通过执行政策来保证管理层的指示得以执行。控制活动主要包括以下方面。

（1）预算控制：它是管理控制中最常用的一种控制方法，通过用数字表达预期的结果来进行约束，规范预算的编制、审批和执行，规定各部门在预算方面的权限。

（2）资金管理：资金的调度不合理，有可能使企业陷入财务困境或出现资金冗余;资金的管控不严密，则可能导致资金被挪用、侵占等。

（3）授权审批控制：包括以书面文件形式的一般授权和由上级领导特批的特别授权。授权审批控制保证各级人员在职责范围以内处理业务，不会出现越权处理的情况。

（4）资产管理控制：保证企业的实物资产不被非正常途径获得和使用，主要包括日常管理和定期清查两方面。

（5）不相容职责分离控制：要求企业理清不相容职务，并保证这些不相容的职务由两个或两个以上的人员担任，以加强岗位间的牵制性，降低舞弊风险。

（6）会计系统控制：指的是企业遵循会计准则的规定，对会计信息、会计处理的控制。

4. 信息与沟通

信息包括财务和非财务的、外部的和内部的，每个企业都必须获取相关的信息，从而更好地进行经营决策。这种信息必须符合两点要求：这些信息必须由管理层确认与企业的经营相关;这些信息存在的形式必须具备使人们行使各自的控制和其他职能并在一定的时限内传递给需要的人的特点。

5. 内部监督

内部控制是不断变化的，因此，管理层必须需要随时判断内部控制系统是否继续有效，是否能够应对新风险。内部监督则成了内部控制持续有效的保障。内部监督这一过程要求由适当的人员及时评估内部控制各项制度的设计和执行，并采取必要措施。它适用于企业的所有行为，有时还适用于与企业有业务往来的外部人员。

总的来说，风险评估、控制活动、控制环境、监督、信息与沟通五个分支，在内部控制中处于重要的地位。具体来说，控制环境属于内部控制的基础，内部控制想要实现顺利的、有效的运行，那么必须拥有良好的控制环境;在对控制程序、控制活动设计期间，需要全面的、综合的来分析企业可能面临的风险。当然，为了能够保障风险的评估与控制，那么实现内部信息顺畅的沟通是尤为重要的。最后，有效的监督，对于内部控制制度、体系的良好实施具有积极意义。总的来说，这五个分支间具有相互关联且独立的关系，在内部环境、外部环境不断变动的背景下，内部控制可以根据实际情况来做出相应的反应，为企业的发展“保驾护航”。

三、内部控制整体框架在中小企业中的应用

中小企业受到资源及规模的限制，难以制订完美的内部控制体系，针对这个情况，在《内部控制——整体框架》中，结合中小型企业的特点，专门指出了在中小型企业当中的应用。

（一）控制环境

中小型企业可以根据实际情况采取不同于大型企业的内控形式。比如可以不订立书面的行为准则，而由高级管理人员以口头方式传达;人力资源政策不必像大公司那样需要正式的文件来保证政策得以实行，可以由总经理口头提出要求，招聘符合其要求的人来从事某项特定工作。

（二）风险与评估

中小企业的风险评估过程相较于大企业显得不正式且缺乏组织性;中小企业即使没有明确的风险评估的目标，也可以有效地向低层管理层传递其隐含的目标;高层管理人员直接向员工和外界获取信息能够帮助识别和分析阻碍企业目标实现的风险，风险管理机制不必十分正式。

（三）控制活动

中小企业实施控制活动的正式程度跟大企业有很多差别，总裁和其他关键管理人员直接参与其中，对更详细控制活动的要求降低;职责的分离和信息系统的控制，对中小型企业而言存在困难，因此必须保证高层管理者直接参与控制活动，提供必要的控制。

（四）信息与沟通

中小企业虽没有像大企业一样正式的信息系统，但是其信息系统因特别受到高级管理人员对外部事件的监控能力的影响，也有可能具备高效性;在沟通方面，中小企业比大企业更容易实现，加强日常的联系，高级管理人员更多地倾听意见，就可以提供有效的沟通。

（五）内部监督

中小企业的内部监督会涉及企业的高层管理人员，他们对企業的监控行为通常来源于企业管理的需要。企业管理人员通过直接参与经营活动中的绝大多数方面，并非一定是所有的方面，高度有效的内部监督从某种程度上也可能代替独立评估的作用。